Regista uma vulnerabilidade que não pode ser corrigida a tempo, ou cujo risco é mantido temporariamente por decisão: justificação, risco residual, controlos compensatórios, condições, monitorização e expiração. O serviço prepara o processo: só a pessoa autorizada aceita o risco, e cabe-lhe registar a sua decisão.
Conteúdo
1. Dados do documento
2. Identificação da exceção
3. Descrição da vulnerabilidade
4. Ativo afetado
5. Contexto técnico e de negócio
6. Justificação da exceção
7. Avaliação de riscos
8. Impacto potencial no negócio
9. Mitigações existentes
10. Avaliação do risco residual
11. Controlos compensatórios
12. Condições de aceitação do risco
13. Requisitos de monitorização
14. Revisão e data de expiração
15. Proprietário do risco
16. Aprovação e validação
17. Histórico da exceção
O que indica
Entregável — O título, o autor e a estrutura são definidos por si.
Exceção — Quem a pede, para que vulnerabilidade.
Vulnerabilidade — Preenchida a partir de um registo selecionado se ficar vazia.
Justificação — Porque não pode ser corrigida agora.
Avaliação do risco — Tal como a fazem quem conhece o ativo.
Aceitação e monitorização — A decisão fica com a pessoa autorizada.
